IOCs (Indicators of Compromise)

¿Qué son los IOCs?

Los IOCs (Indicators of Compromise o Indicadores de Compromiso) son artefactos técnicos observables que evidencian una intrusión o actividad maliciosa en un sistema informático. Son las “huellas dactilares” digitales que dejan los atacantes.

En mi trabajo como perito informático forense, los IOCs son herramientas fundamentales para responder preguntas críticas: ¿Qué malware se utilizó? ¿Cuándo se produjo la intrusión? ¿Hay otros sistemas afectados? ¿Se puede atribuir el ataque a un grupo conocido?

Tipos de Indicadores de Compromiso

1. IOCs Basados en Hash

El hash criptográfico de un archivo malicioso es el indicador más preciso. Si encuentro un archivo con un hash conocido de malware, tengo certeza de la presencia de esa amenaza específica.

Limitación: Los atacantes modifican ligeramente el malware para cambiar el hash (polimorfismo).

2. IOCs de Red

Direcciones IP, dominios y URLs utilizadas por los atacantes para comando y control, exfiltración de datos o distribución de malware.

Ejemplos de IOCs de red:
├── IP: 185.234.xx.xx (servidor C2)
├── Dominio: malicious-update[.]com
├── URL: hxxps://legit-company[.]com/payload.exe
├── Certificado SSL: fingerprint específico
└── User-Agent: "Mozilla/5.0 Malware/1.0"

3. IOCs de Host

Artefactos observables en el sistema comprometido:

4. IOCs de Comportamiento

Patrones de actividad que indican compromiso aunque no identifiquen el malware específico:

• Conexiones salientes a las 3:00 AM
• Proceso notepad.exe realizando conexiones de red
• PowerShell ejecutando scripts codificados en Base64
• Accesos masivos a carpetas de red inusuales

Fuentes de Inteligencia de IOCs

Para mis investigaciones forenses, utilizo múltiples fuentes de IOCs actualizados:

Fuentes Públicas

Fuentes Comerciales

• Recorded Future
• Mandiant Threat Intelligence
• CrowdStrike Falcon Intelligence
• Palo Alto Unit 42

IOCs Propios

En cada investigación genero IOCs propios a partir del análisis del malware encontrado. Estos se pueden compartir con la comunidad o mantener privados según las necesidades del cliente.

Uso de IOCs en Investigación Forense

Caso Práctico: Investigación de Ransomware

IOCs Identificados en la Investigación

Fase 1: Acceso inicial

IOC de email:
├── Remitente: factura@proveedor-legitimo[.]es (spoofed)
├── Adjunto: Factura_Enero.xlsm
├── Hash SHA-256: a3f2b8c9d4e5f6a7b8c9d0e1f2a3b4c5...
└── Macro: Descarga payload de hxxps://cdn-update[.]net

Fase 2: Descarga del malware

IOC de conexión:
├── Dominio: cdn-update[.]net
├── IP: 91.234.xx.xx (hosting en Moldavia)
├── Puerto: 443 (HTTPS)
└── Payload: update_service.exe

Fase 3: Persistencia y movimiento lateral

IOCs de host:
├── Archivo: C:\ProgramData\Microsoft\update_service.exe
├── Hash: d8e7f6a5b4c3d2e1f0a9b8c7d6e5f4a3...
├── Servicio: "Windows Update Service" (falso)
├── Clave registro: HKLM\SYSTEM\CurrentControlSet\Services\WinUpdateSvc
└── Herramienta: Cobalt Strike beacon

Fase 4: Exfiltración

IOCs de red:
├── IP destino: 185.234.xx.xx
├── Puerto: 8443
├── Protocolo: HTTPS con certificado autofirmado
├── Volumen: 12.3 GB salientes
└── Horario: 02:00-04:00 durante 3 noches

Análisis de Atribución

Comparando los IOCs con bases de datos de threat intelligence:

• El hash del payload coincidía con LockBit 3.0
• Los dominios de C2 aparecían en campañas previas del mismo grupo
• Las TTPs (Técnicas, Tácticas y Procedimientos) eran consistentes con operadores de LockBit

Herramientas para Gestión de IOCs

Consulta y Enriquecimiento

Búsqueda en Sistemas

Ejemplo de Regla YARA

rule LockBit_Ransomware {
    meta:
        description = "Detecta variantes de LockBit"
        author = "Digital Perito"
        date = "2026-02-03"
    
    strings:
        $mutex = "Global\\LockBit" ascii
        $ransom_note = "Restore-My-Files.txt" ascii
        $extension = ".lockbit" ascii
    
    condition:
        uint16(0) == 0x5A4D and 2 of them
}

Validez Judicial de los IOCs

Para que los IOCs sean admisibles como prueba:

1. Origen documentado: De dónde obtuve cada IOC (análisis propio, fuente de inteligencia)
2. Hash de evidencia: Los archivos analizados deben tener hash verificable
3. Metodología reproducible: Otro perito debe poder verificar mis hallazgos
4. Explicación clara: El tribunal debe entender qué significa cada indicador

Conclusión

Los IOCs son herramientas esenciales en cualquier investigación forense de ciberincidentes. Permiten identificar amenazas, determinar el alcance del compromiso, reconstruir la cronología del ataque y, en muchos casos, atribuir la autoría a grupos conocidos.

Como perito informático, mi labor incluye no solo identificar IOCs, sino interpretarlos correctamente y documentarlos de forma que tengan validez judicial. Un IOC sin contexto es solo un dato; un IOC bien documentado es una prueba.

¿Tu empresa ha sufrido un ciberataque y necesitas identificar el alcance del compromiso? Contacta con Digital Perito para un análisis forense profesional con identificación completa de indicadores de compromiso.

Última actualización: 3 de febrero de 2026 Categoría: Ciberseguridad Código: IOC-001